API Anahtarı

API Key

İngilizcesi: API Key
Okunuşu: ey-pi-ay ki

Günlük kullanımda iki ad da yaygın.

Güncellendi 30 Eylül 20262 dk okuma

Kısaca

API anahtarı, API çağrılarında uygulamayı veya projeyi tanımlayan, erişim denetimi, kullanım takibi ve hız sınırı için kullanılan benzersiz gizli bir dizedir.

API anahtarı nedir?

API anahtarı, bir servisin geliştiriciye veya uygulamaya verdiği uzun ve rastgele bir dizedir. İstemci anahtarı her istekle birlikte, genellikle Authorization veya X-API-Key gibi bir HTTP başlığında gönderir; sunucu da isteğin hangi projeye ait olduğuna, izinli olup olmadığına ve kotasının ne kadarını kullandığına karar vermek için anahtarı arar.

API anahtarları basit oldukları için popülerdir: bir giriş akışı yoktur; bu da onları sunucudan sunucuya çağrılar, betikler ve ödeme, harita, e-posta ve yapay zekâ modeli API'leri gibi geliştirici servisleri için kullanışlı kılar. Sağlayıcılar faturalamayı ölçmek, hız sınırlarını uygulamak ve diğerlerini etkilemeden tek bir projenin erişimini kapatmak için bunları kullanır.

API anahtarı, bir bina kartı gibi çalışır: kartı tutan kişi kim olursa olsun içeri girer. Asıl zayıflığı budur; çünkü anahtar bir kişiyi değil bir projeyi tanımlar ve onu kopyalayan herkes kullanabilir. Bu yüzden anahtarlar, kısa ömürlü olan, belirli bir kullanıcının onayına bağlı olan ve kapsamlarla sınırlanan OAuth erişim token'larından farklıdır.

API anahtarlarını korumak için onları sunucuda tutun; herkesin çıkarabileceği ön yüz kodundan ve mobil uygulamalardan uzak tutun. Ortam değişkenlerinden veya bir secrets manager'dan yükleyin, asla Git'e commit etmeyin ve sızıntıları yakalamak için secret scanning'i açın. Her anahtara yalnızca ihtiyaç duyduğu izinleri verin, sağlayıcı izin veriyorsa IP adresi veya alan adıyla kısıtlayın, kendiniz verdiğiniz anahtarların yalnızca hash'ini saklayın ve açığa çıkmış olabilecek bir anahtarı hemen döndürün (rotate) veya iptal edin.

Önemli noktalar

API anahtarı, çağıran uygulamayı veya projeyi tanımlar.
Her istekle birlikte, genellikle bir HTTP başlığında gönderilir.
Anahtara sahip olan herkes onu kullanabilir; bu yüzden ona parola gibi davranın.
Anahtarları sunucuda tutun; Git'ten ve istemci tarafı kodundan uzak tutun.
İzinleri sınırlayın; sızmış olabilecek anahtarları döndürün veya iptal edin.

Örnek

Sunucudan anahtarla bir API çağırmakjavascript

// Load the key from the environment; never hard-code it in source files
const apiKey = process.env.WEATHER_API_KEY;

// Call the API from the server, sending the key in a header, not the URL
const res = await fetch("https://api.example.com/v1/forecast?city=Paris", {
  headers: { Authorization: `Bearer ${apiKey}` },
});

if (res.status === 401) {
  throw new Error("API key is missing, invalid, or revoked");
}
const forecast = await res.json();

Sık sorulan sorular

API anahtarı ile OAuth token'ı arasındaki fark nedir?

API anahtarı, bir uygulamayı veya projeyi tanımlayan uzun ömürlü bir sırdır. OAuth erişim token'ı ise genellikle kısa ömürlüdür, belirli bir kullanıcının iznini temsil eder ve o kullanıcının onayladığı kapsamlarla sınırlıdır.

Ön yüz JavaScript'ine API anahtarı koymak güvenli midir?

Gizli anahtarlar için hayır. Bir tarayıcıya veya mobil uygulamaya gönderilen her şey kullanıcılar tarafından okunabilir; bu yüzden gizli anahtarlar, istemci adına API'yi çağıran bir sunucuya aittir. Bazı sağlayıcılar ön yüzde kullanılmak üzere herkese açık (publishable) anahtarlar verir; bunlar yine de alan adıyla kısıtlanmalıdır.

Bir API anahtarını sızdırırsam ne yapmalıyım?

Anahtarı sağlayıcının panelinde hemen iptal edin veya döndürün, ardından kullanıldığı her yerde değiştirin. Sonraki bir Git commit'inde silmek yeterli değildir; çünkü anahtar depo geçmişinde kalır ve otomatik tarayıcılar tarafından zaten kopyalanmış olabilir.

İlgili sayfalar

Bu sayfada bir hata ya da eksik mi gördünüz?Düzeltme önerin